Serie Arbeitswelt 4.0 In der Datenwolke kommt es auf Details an

von Redaktion LZ
Mittwoch, 29. Juli 2015
Oliver Simon und Michael Rein sind Arbeitsrechtsexperten bei der Wirtschaftskanzlei CMS Hasche Sigle
CMS/Sebastian Berger
Oliver Simon und Michael Rein sind Arbeitsrechtsexperten bei der Wirtschaftskanzlei CMS Hasche Sigle
LZnet/Oliver Simon/Michael Rein. Immer häufiger werden Daten gespeichert, verarbeitet und verwendet, die sich auf entfernten Rechnern oder Servern befinden und auf die über das Internet zugegriffen wird. Dieses "Cloud Computing" wirft diverse rechtliche Fragestellungen auf, vor allem mit Blick auf den Beschäftigtendatenschutz.
Nutzt ein Arbeitgeber Cloud-Anwendungen für seine Datenverwaltung, werden zahlreiche personenbezogene Beschäftigtendaten erhoben und verarbeitet – zum Beispiel, wenn die Verwaltung der Beschäftigtendaten in eine Cloud "outgesourct" werden. Dann finden sich in der Cloud etwa Gehaltsabrechnungen oder Zeiterfassungsdaten. Daneben werden Beschäftigtendaten auch erhoben, wenn die von den Arbeitnehmern erarbeiteten Ergebnisse als Datei oder per E-Mail in der Cloud gespeichert und archiviert werden.

Auf die verantwortliche Stelle kommt es an

Die Zulässigkeit dieses Outsourcings beurteilt sich grundsätzlich nach dem Bundesdatenschutzgesetz (BDSG). Oft ist die Cloud-Infrastruktur nicht in Deutschland angesiedelt. Dennoch werden dort Daten deutscher Arbeitnehmer gespeichert. Rechtlich ist entscheidend, wer die für die Einbringung personenbezogener Beschäftigtendaten in die Cloud "verantwortliche Stelle" im Sinne des BDSG ist.

Verantwortliche Stelle in diesem Sinne ist grundsätzlich derjenige, der über den Zweck und die Mittel der Verarbeitung der personenbezogenen Daten entscheidet. Bei Beschäftigtendaten ist dies im Allgemeinen der Arbeitgeber und nicht der Cloud-Anbieter. Daraus folgt, dass das BDSG grundsätzlich anwendbar ist, wenn ein deutsches Unternehmen Beschäftigtendaten verarbeitet. Es kommt dabei nicht darauf an, wo die technischen Einrichtungen der Cloud installiert sind und wo der Cloud-Anbieter seinen Sitz hat.

Outsourcing auf Rechtmäßigkeit prüfen

Ist die Verarbeitung von Beschäftigtendaten beabsichtigt, ist in einem ersten Schritt zu klären, ob der Arbeitgeber diese Daten überhaupt erheben darf. Im zweiten Schritt ist zu prüfen, ob das Outsourcing in die Cloud rechtlich zulässig ist. Unproblematisch sind unternehmensinterne Clouds. Bei externen ist die Zulässigkeit genauer zu prüfen.

Normalerweise ist beabsichtigt, dass der Arbeitgeber als "Herr der Daten" die volle Verfügungsgewalt behält und Art und Umfang der Datenverarbeitung bestimmt. Der Cloud-Anbieter stellt lediglich den Speicherplatz und die technische Infrastruktur zur Verfügung. In diesem Fall handelt es sich um Auftragsdatenverarbeitung. Bei dieser bleibt der Arbeitgeber datenschutzrechtlich verantwortlich.

Die gesetzmäßige Durchführung einer Auftragsdatenverarbeitung erfordert eine sorgfältige Auswahl des Cloud-Anbieters. Die Zulässigkeit hängt dabei insbesondere auch von den tatsächlichen Kontrollmöglichkeiten des Arbeitgebers gegenüber dem Cloud-Anbieter ab.

Verarbeitet der Cloud-Anbieter die Daten nicht im EU-Raum oder im Europäischen Wirtschaftsraum, gilt er als "Dritter" im datenschutzrechtlichen Sinne, sodass die Zulässigkeit dieser Datenübermittlung nochmals datenschutzrechtlich zu prüfen ist.

Schriftlicher Vertrag bei Auftragsdatenverarbeitung

Liegt dagegen Auftragsdatenverarbeitung vor, ist diese in einem schriftlichen Vertrag zu regeln, in dem unter anderem der Gegenstand und die Dauer des Auftrags sowie der Umfang, die Art und der Zweck der vorgesehenen Datenerhebung und der Kreis der Betroffenen festzulegen sind (§ 11 Abs. 2 BDSG).

Daneben spielen bei der Auslagerung von Beschäftigtendaten in eine Cloud auch arbeitsrechtliche Gesichtspunkte eine Rolle. Gegenüber einem einzelnen Arbeitnehmer kann der Arbeitgeber durch Ausübung seines Direktionsrechts grundsätzlich vorgeben, Cloud-Anwendungen zu nutzen und dort etwa die von ihm erarbeiteten Dokumente zu archivieren.

Mitbestimmung des Betriebsrats

Allerdings hat der Betriebsrat bei der Einführung von Cloud-Anwendungen in der Regel mitzubestimmen. Neben Unterrichtungs- und Beratungsrechten ist hier insbesondere das Mitbestimmungsrecht des Betriebsrats in Bezug auf technische Einrichtungen einschlägig.

Da der Rechtsprechung zufolge für die Anwendbarkeit dieses Mitbestimmungsrechts bereits die objektive Eignung einer technischen Einrichtung zur Überwachung der Arbeitnehmer ausreicht, dürfte das Mitbestimmungsrecht des Betriebsrats bei Cloud-Nutzung im Unternehmen ausnahmslos eingreifen.

Grund ist, dass sich mit Hilfe der eingesetzten Software in der Regel die Verhaltens- und Leistungsdaten der die Cloud nutzenden Arbeitnehmer erfassen lassen und sich damit Aussagen zu deren Verhalten und Leistung treffen lassen. Der Betriebsrat kann daher eine Betriebsvereinbarung verlangen, die die Art und Weise der Cloud-Nutzung näher regelt.

Betriebsvereinbarung aushandeln

Bei den Verhandlungen solcher Betriebsvereinbarungen ist es für Arbeitgeber oft von Bedeutung, bestehende Ängste bei den Arbeitnehmervertretern abzubauen, um das Ziel des Cloud-Computing zu erreichen, die Schnelligkeit und Flexibilität der Datenerhebung und -verarbeitung im Unternehmen zu erhöhen.

 

Sie haben Fragen oder Anmerkungen zu diesem Artikel?
Schicken Sie eine Email an die Redaktion.

Hier können Sie die Nutzungsrechte an diesem Artikel erwerben.

Meistgelesen

stats